Reconnaître un phishing généré par IA

Une comptable reçoit un message : « Bonjour, je vous transmets la facture corrigée de mars. Merci de la régler avant ce soir pour que nous n’ayons pas à suspendre la livraison. » Le ton est courtois, le français est irréprochable, le fournisseur cité travaille réellement avec l’entreprise, et la signature est la bonne. Rien, dans ce message, ne ressemble à une arnaque.

Il y a quelques années, ce message se repérait à l’œil nu. Les campagnes visant la France arrivaient traduites à la machine : accents manquants, accords approximatifs, mélange de tutoiement et de vouvoiement dans le même paragraphe, mise en page bancale. On enseignait donc à chercher la faute. Ce réflexe est aujourd’hui un angle mort.

Le phishing généré par IA n’est pas un phishing écrit par un robot. C’est du phishing (hameçonnage) dont l’attaquant a délégué à un modèle génératif la partie la plus coûteuse de son travail : rédiger dans une langue qui n’est pas la sienne, personnaliser, produire des variantes, imiter un style. Le reste de l’attaque est inchangé.

Le phishing est la forme la plus répandue d’ingénierie sociale : la cible n’est pas un système, c’est une personne. Le même attaquant qui envoie un courriel aujourd’hui appelle demain avec une voix synthétique et envoie après-demain un SMS sur un colis.

Comment fonctionne le phishing

Le principe n’a pas bougé depuis vingt ans : l’attaquant se fait passer pour quelqu’un de crédible.

Une banque, un transporteur, un opérateur, une administration, une marque connue, un collègue, un dirigeant, un client. Le message pousse presque toujours à agir vite.

Les objectifs habituels sont de :

• vous faire cliquer sur un lien,
• vous conduire vers une page de connexion imitée,
• vous faire ouvrir une pièce jointe,
• récupérer des coordonnées bancaires,
• obtenir un code de validation,
• déclencher un virement,
• entrer dans un système de l’entreprise.

Le problème n’est pas que le phishing soit spectaculaire. C’est qu’il ressemble à un message de travail ordinaire.

Les formes que cela prend en France

Phishing par courriel

La forme la plus connue. Un message qui semble venir d’une banque, d’un transporteur, de Microsoft, de Google, d’un fournisseur ou d’un collègue, avec un lien, une pièce jointe ou une demande d’action rapide.

Les prétextes français reviennent par saisons : un remboursement d’impôt au moment de la déclaration, une régularisation de cotisations pour une entreprise, un renouvellement de carte Vitale. Le message tombe au bon moment de l’année, ce qui suffit souvent à désarmer la méfiance.

Smishing

Le phishing par SMS ou par messagerie. En France, il tourne autour de trois histoires : un colis qui ne peut pas être livré faute de quelques centimes de frais, une amende de circulation qui va être majorée, et le message d’un proche « qui a changé de numéro » et demande un virement urgent.

Vishing

Le phishing par téléphone. La variante française la plus documentée est le faux conseiller bancaire : l’appelant connaît votre nom, parfois vos dernières opérations, affiche un numéro qui ressemble à celui de votre agence, et vous demande de valider une opération « pour la bloquer ».

L’IA rend le vishing plus difficile à écarter, parce qu’une voix peut être clonée à partir de quelques secondes d’enregistrement public : un webinaire, un podcast, une interview, un message d’accueil. Nous détaillons ce scénario dans notre article sur l’arnaque au président et le deepfake vocal.

Spear phishing

Le phishing ciblé, ou harponnage. Ce n’est pas un message envoyé à des milliers de personnes, c’est un message préparé pour une personne ou une entreprise.

L’attaquant cherche votre nom, votre fonction, vos projets, vos collègues, vos clients, vos fournisseurs. Puis il écrit un message qui s’insère dans votre journée de travail. Les sources sont publiques et gratuites : profils professionnels, organigramme du site, communiqués, offres d’emploi, avis d’attribution de marchés publics. C’est exactement le matériau que nous exploitons en amont d’un test ; nous décrivons la méthode dans OSINT et IA.

Faux ordre de virement

Connu aussi sous le nom d’arnaque au président, il vise les entreprises. L’attaquant se fait passer pour un dirigeant, un fournisseur ou un partenaire, et obtient le paiement d’une facture ou la modification d’un RIB.

Ce n’est presque jamais une attaque technique. C’est une manipulation préparée : aucun système n’est compromis, aucun antivirus ne se déclenche, et la perte est immédiate.

Ce que l’IA change

Le français est devenu correct

Les messages frauduleux n’ont plus besoin d’une traduction approximative. Un modèle génératif écrit un français naturel, place les accents, respecte le vouvoiement et adapte le registre à l’expéditeur supposé — banque, transporteur, administration, collègue.

La conséquence est directe : le conseil « repérez les fautes » est périmé. Qui continue à s’y fier regarde le mauvais indicateur.

Le message connaît votre semaine

L’attaquant collecte des informations publiques sur l’entreprise et ses équipes, puis les fait convertir en un message contextualisé.

Par exemple : « Bonjour Martine, je vous joins les pièces mises à jour pour l’appel d’offres sur lequel vous travaillez cette semaine. » C’est nettement plus dangereux qu’un courriel générique, parce que le contenu correspond à ce que la destinataire fait réellement à ce moment-là.

Une campagne devient une série de variantes

En quelques minutes, un attaquant produit des dizaines de versions d’un même message pour des services différents : comptabilité, ressources humaines, commerce, achats, informatique. Chaque version emploie le vocabulaire et les outils du service visé, ce qui augmente mécaniquement la probabilité qu’une seule d’entre elles porte.

L’imitation de style

Si des textes publics d’une personne existent, son style peut être imité : formule d’appel, abréviations habituelles, signature, manière de demander. Le message ressemble alors à la communication normale d’un responsable ou d’un collègue.

Ce que l’IA ne change pas

La demande, elle, n’a pas bougé. On veut toujours vous faire cliquer, saisir un identifiant, payer ou transmettre un code. C’est pour cette raison que les vérifications ci-dessous fonctionnent encore : elles portent sur la demande, pas sur l’emballage — et l’emballage est précisément la seule chose que l’IA améliore vraiment.

Les sept vérifications qui tiennent

Quand un message vous paraît douteux, ralentissez. Il n’est pas nécessaire d’être informaticien. Quelques questions suffisent.

1. Le message me pousse-t-il à agir vite ?

Le phishing utilise presque toujours la pression temporelle : « immédiatement », « sous 24 heures », « dernier rappel », « votre compte va être bloqué ». Plus la pression est forte, plus la vérification s’impose.

2. Demande-t-il un mot de passe, un code ou un paiement ?

N’envoyez jamais un mot de passe ni un code de validation par courriel, SMS ou messagerie. Si quelqu’un vous demande un code reçu par SMS, ou de valider une notification dans votre application bancaire, traitez-le comme une alerte majeure. Aucune banque, aucune administration, aucun service d’assistance ne le demande.

3. L’adresse de l’expéditeur est-elle la bonne ?

Ne regardez pas seulement le nom affiché, regardez l’adresse réelle. Un attaquant peut afficher le nom d’une marque connue derrière une adresse sans rapport. Surveillez les petites variations de domaine : lettres interverties, tiret ajouté, extension modifiée. Les sites de l’administration française se terminent par .gouv.fr ; un domaine qui remplace le point par un tiret n’est pas le leur.

4. Le lien mène-t-il où il prétend ?

Ne cliquez pas par automatisme. Sur un ordinateur, survolez le lien pour lire sa destination réelle. Sur mobile, c’est plus difficile : raison de plus pour être prudent. Le plus sûr reste d’ouvrir le site officiel vous-même, ou votre favori.

5. Cette pièce jointe était-elle attendue ?

N’ouvrez pas les pièces jointes que vous n’attendiez pas, en particulier les factures, les documents, les archives et les fichiers qui demandent d’activer les macros ou de se reconnecter.

6. Le contexte est-il cohérent ?

Posez-vous la question : attendais-je ce message ? Est-il logique que cette personne m’écrive ? Est-il normal qu’elle demande cela, à cette heure, par ce canal ? Si la réponse est non, vérifiez.

7. Puis-je confirmer la demande par un autre canal ?

Pour un paiement, un changement de RIB, une demande d’accès ou une donnée sensible, vérifiez toujours par un second canal. Appelez un numéro que vous retrouvez vous-même, utilisez la messagerie interne, ou déplacez-vous. N’appelez jamais le numéro indiqué dans le message suspect.

Ce que cela change pour une simulation de phishing

C’est ici que la disparition des anciens signaux a le plus d’effet, et c’est ce qui est le plus souvent négligé.

Un scénario calibré sur l’orthographe ne mesure plus rien

Beaucoup de campagnes internes reposent encore sur un modèle volontairement maladroit : logo déformé, faute visible, expéditeur invraisemblable. Le taux de clic obtenu est rassurant, et il ne veut rien dire. Il mesure la capacité des équipes à repérer une attaque que plus personne n’envoie.

Un scénario représentatif de 2026 est correctement rédigé, correctement mis en page, et contextualisé à partir d’informations publiques : un fournisseur réel, un projet réel, un calendrier réel.

Trois niveaux de difficulté, pas un seul

Dans une campagne utile, les scénarios se répartissent sur au moins trois niveaux :

• générique — un message de masse crédible, qui donne une base de comparaison entre campagnes ;
• contextualisé — un message aligné sur un service, ses outils et son vocabulaire ;
• ciblé — un scénario construit pour un petit groupe à partir de données publiques, éventuellement sur deux canaux (un courriel suivi d’un SMS ou d’un appel).

Le troisième niveau réussit presque toujours. Ce n’est pas un échec des personnes : c’est la démonstration que la défense ne peut pas reposer sur elles, et que la question suivante est de savoir ce qui se passe après le clic.

La mesure utile n’est plus le taux de clic

Le taux de clic d’une première campagne est une base de départ, pas une note. Face à un scénario ciblé, il montera, quelle que soit la qualité des équipes.

Les indicateurs qui font progresser une organisation sont ailleurs :

• le taux de signalement : combien de personnes ont transmis le message, y compris parmi celles qui ont cliqué ;
• le délai avant le premier signalement, compté depuis l’envoi : c’est lui qui détermine si l’équipe informatique peut bloquer le domaine avant les autres clics ;
• le taux de saisie d’identifiants, nettement plus significatif que le simple clic ;
• le fait que la MFA ait effectivement bloqué l’usage des identifiants collectés ;
• le fait que la procédure de virement ait tenu lorsque le scénario visait un paiement.

Autrement dit : une simulation teste des mesures organisationnelles, pas des personnes. Les résultats se restituent de façon agrégée, jamais nominative.

Fréquence et progression

Une campagne annuelle unique produit un chiffre, pas une tendance. Un rythme trimestriel, avec des scénarios différents et un niveau de difficulté qui augmente, permet de comparer ce qui est comparable : le délai de signalement d’un trimestre à l’autre.

C’est la logique de notre plateforme PhishGun, utilisée en complément d’un pentest d’ingénierie sociale et d’un dispositif de sensibilisation à la cybersécurité. La simulation produit la mesure ; la sensibilisation explique le résultat ; le test d’intrusion vérifie ce qui se passe quand un identifiant valide tombe entre de mauvaises mains.

Le cadre français d’une simulation

Une simulation de phishing est légale en France, à des conditions que les plateformes mentionnent rarement.

Les salariés doivent être informés au préalable de l’existence du dispositif — pas de la date ni du contenu des campagnes, ce qui les priverait de sens, mais du principe. La charte informatique ou une note de service sont les supports habituels.

Dans les entreprises d’au moins cinquante salariés, le comité social et économique (CSE) est consulté avant la mise en place d’un moyen permettant de contrôler l’activité des salariés. Une campagne de simulation entre dans cette catégorie ; la consultation se prépare, elle ne se règle pas la veille.

Les résultats sont agrégés. Aucune personne n’est identifiée, notée ou sanctionnée ; c’est à la fois une exigence de loyauté et la condition pour que les signalements continuent d’arriver. Une organisation qui sanctionne le premier clic n’aura plus aucun signalement au troisième.

Côté RGPD, la campagne constitue un traitement de données personnelles : elle s’appuie en pratique sur l’intérêt légitime de l’entreprise, doit figurer au registre des activités de traitement, et sa durée de conservation doit être limitée. L’article 32 du RGPD demande par ailleurs, parmi les mesures de sécurité appropriées, « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». Une simulation de phishing est l’une des rares façons de le faire pour le facteur humain.

Enfin, comme tout test offensif, la campagne est menée sur mandat écrit, dans un périmètre défini contractuellement : accéder à un système sans autorisation relève des articles 323-1 et suivants du code pénal, et l’autorisation du responsable est ce qui distingue un test d’une infraction.

Nous consacrons un article complet à ce cadre : simulation de phishing, information des salariés, CSE et RGPD.

Si quelqu’un a cliqué

Tout le monde peut cliquer. Ce qui compte, c’est de ne pas paniquer et d’agir vite.

Si vous avez seulement cliqué sans rien saisir, fermez la page et signalez le message à votre service informatique. Si vous avez saisi un mot de passe, changez-le immédiatement, ainsi que partout où il est réutilisé. Si vous avez saisi des coordonnées de carte, contactez votre banque. S’il s’agissait d’un compte professionnel, prévenez l’entreprise sans délai.

La pire option est le silence par crainte ou par gêne. Les attaquants comptent sur les incidents dissimulés : ce silence leur donne exactement les heures dont ils ont besoin. Un signalement rapide sauve un compte, de l’argent et des données.

Pour l’organisation, une obligation s’ajoute. Si des données personnelles ont pu être compromises, la violation doit en principe être notifiée à la CNIL dans les 72 heures au titre du RGPD. Chaque collaborateur doit donc savoir où signaler un message suspect, et ce signalement doit arriver automatiquement à la bonne personne.

Ce qui tient dans la durée

Les mesures individuelles sont simples. Activez l’authentification multifacteur (MFA), de préférence avec une application ou une clé matérielle plutôt que par SMS. Tenez vos équipements à jour. N’utilisez pas le même mot de passe partout et adoptez un gestionnaire de mots de passe — qui, effet secondaire utile, refuse de remplir un formulaire sur un domaine imité. Vérifiez les demandes inhabituelles.

En entreprise, ce qui produit un effet durable est ce qui ne repose pas sur la vigilance :

• un bouton de signalement dans la messagerie, ou une adresse unique, qui met le message suspect entre les mains de l’informatique en un geste ;
• une procédure de paiement écrite : tout changement de RIB est vérifié par rappel sur un numéro connu, et une double validation s’applique au-delà d’un montant convenu ;
• des mesures techniques sur le flux de messagerie : SPF, DKIM et DMARC, plus un marquage visible des expéditeurs externes ;
• la MFA sur tous les comptes professionnels, en tenant compte de la lassitude qu’elle provoque : la répétition de demandes d’approbation est elle-même une technique d’attaque ;
• des simulations périodiques qui vérifient que la procédure de signalement fonctionne réellement, et non que les équipes savent repérer une faute d’orthographe.

Questions fréquentes

Conclusion

Un phishing généré par IA est dangereux parce qu’il a l’air normal. Il n’a besoin d’aucune prouesse technique : il emprunte une communication ordinaire, une charge de travail ordinaire et une confiance ordinaire.

La défense reste simple à énoncer : ralentir, vérifier la demande plutôt que la forme, ne pas cliquer par automatisme, ne pas céder à la pression. Et construire autour des personnes une organisation dans laquelle un clic isolé ne devient pas un incident.

Nos services associés : pentest d’ingénierie sociale et simulations de phishing · sensibilisation de vos collaborateurs à la cybersécurité